搜索

[11885] 2017-10-12_德勤之后，另一家咨询公司埃森哲也被曝出安全问题

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2017-10-12_德勤之后，另一家咨询公司埃森哲也被曝出安全问题 德 勤 之 后 ， 另 一 家 咨 询 公 司 埃 森 哲 也 被 曝 出 安 全 问 题 S p h i n x   F r e e B u f   2 0 1 7 - 1 0 - 1 2 继 上 月 末 四 大 咨 询 公 司 之 一 的 德 勤 被 黑 后 ， 另 一 家 咨 询 公 司 埃 森 哲 也 被 爆 出 安 全 问 题 。 继 上 月 末 四 大 咨 询 公 司 之 一 的 德 勤 被 黑 后 ， 另 一 家 咨 询 公 司 埃 森 哲 也 被 爆 出 安 全 问 题 。 安 全 公 司 U p G u a r d 发 现 ， 埃 森 哲 的 部 分 业 务 数 据 被 放 在 了 公 开 的 A m a z o n   S 3   b u c k e t 服 务 器 上 U p G u a r d 发 现 ， 4 个 云 存 储 服 务 器 上 的 数 据 没 有 受 到 密 码 保 护 。 任 何 拥 有   w e b   服 务 器 地 址 的 人 都 可 以 下 载 其 中 存 储 的 数 据 ， 其 中 包 括 密 钥 ， A P I 信 息 和 客 户 信 息 等 。
这 四 个 b u c k e t 包 括 ： a c p - d e p l o y m e n t 包 含 内 部 访 问 密 钥 ， 埃 森 哲 身 份 A P I 使 用 的 凭 据 ， 包 含 A m a z o n   W e b   S e r v i c e s 密 钥 管 理 服 务 帐 户 的 主 访 问 密 钥 的 明 文 文 档 以 及 私 有 签 名 密 钥 。 a c p c o l l e c t o r 包 含 与 埃 森 哲 云 存 储 维 护 有 关 的 数 据 ， 包 括 公 司 私 有 网 络 的 V P N 密 钥 和 云 生 态 系 统 的 视 图 。 a c p - s o f t w a r e 是 一 个 1 3 7   G B 的 b u c k e t ， 最 大 的 一 个 ， 包 含 A c c e n t u r e 客 户 端 凭 据 的 数 据 库 转 储 ， 散 列 密 码 和 4 0 , 0 0 0 个 明 文 密 码 。 它 还 包 括 A c c e n t u r e 的 E n s t r a t u s 云 管 理 平 台 的 访 问 密 钥 和 Z e n o s s 事 件 跟 踪 系 统 的 数 据 ， 包 括 J S e s s i o n   I D ， 如 果 没 有 过 期 ， 可 以 将 其 插 入 到 c o o k i e s 中 以 绕 过 身 份 验 证 。 a c p - s s l 包 含 提 供 许 多 埃 森 哲 环 境 的 加 密 密 钥 存 储 。 名 为 “ a c p . a w s . a c c e n t u r e . c o m ” 的 文 件 夹 中 的 更 多 密 钥 存 储 库 ， 以 及 可 用 于 解 密 埃 森 哲 与 客 户 端 之 间 流 量 的 证 书 。 “ 总 而 言 之 ， 这 些 暴 露 b u c k e t 的 重 要 性 不 容 小 觑 。 如 果 被 黑 客 利 用 ， 这 些 云 服 务 器 可 能 被 任 何 用 户 访 问 ， 这 可 能 会 使 埃 森 哲 和 其 数 以 千 计 的 顶 尖 企 业 客 户 面 临 恶 意 攻 击 ， 而 这 些 攻 击 可 能 造 成 无 数 次 的 财 务 损 失 。 “ 影 响 范 围 影 响 范 围 这 一 事 件 的 影 响 有 多 大 呢 ？ 据 统 计 ， 2 0 1 5 年 埃 森 哲 在 5 5 个 国 家 、 2 0 0 多 个 城 市 有 超 过 3 8 万 4 千 名 员 工 ， 营 业 额 约 3 2 9 亿 美 元 ， 是 世 界 上 最 大 的 管 理 咨 询 公 司 ， 其 客 户 包 括 《 财 富 》 世 界 5 0 0 强 中 超 过 八 成 的 跨 国 公 司 、 各 国 政 府 机 构 以 及 军 队 。 好 在 U p G u a r d   在 发 现 这 些 暴 露 数 据 之 后 ， 马 上 就 通 知 了   A c c e n t u r e 。 A c c e n t u r e   也 马 上 采 取 了 安 全 应 对 措 施 。 并 且 A c c e n t u r e   还 表 示 ， U p G u a r d   是 唯 一 一 个 未 授 权 条 件 下 访 问 公 司 服 务 器 的 访 问 者 。 上 个 月 全 球 四 大 会 计 师 事 务 所 之 一 的 D e l o i t t e （ 德 勤 ） 曾 遭 到 网 络 攻 击 ， 导 致 其 全 球 电 子 邮 件 服 务 器 被 入 侵 。 德 勤 被 曝 出 “ 大 量 R D P 端 口 对 外 ” “ 一 个 帐 号 全 线 入 侵 ” “ 员 工 将 V P N 密 码 上 传 G i t h u b ” 等 低 级 风 险 ， 而 它 的 安 全 咨 询 业 务 却 被 G a r t n e r 评 为 全 球 第 一 。 云 服 务 器 成 泄 密 新 途 径 云 服 务 器 成 泄 密 新 途 径 同 样 遭 到 亚 马 逊 “ 出 卖 ” 的 还 有 美 国 的 医 疗 机 构 。 K r o m t e c h 安 全 中 心 的 研 究 人 员 发 现 4 7 . 5   G B 数 据 缓 存 ， 这 些 数 据 能 够 轻 易 访 问 ， 其 中 包 括 3 1 6 , 3 6 3 个 P D F 报 告 ； 每 位 患 者 每 周 测 试 结 果 共 约 2 0 个 文 件 。 每 个 文 件 都 不 是 匿 名 的 ， 每 个 文 件 都 以 病 人 的 名 字 命 名 ， 包 括 测 试 日 期 ， 家 庭 住 址 ， 电 话 号 码 和 测 试 详 细 信 息 ， 甚 至 包 括 医 生 的 姓 名 和 病 例 管 理 笔 记 。 这 无 疑 是 黑 客 的 重 大 福 利 。 K r o m t e c h 在 一 篇 博 客 中 表 示 ， 数 据 库 连 接 到 的 似 乎 是 一 家 患 者 家 庭 监 测 公 司 ， 该 公 司 通 过 患 者 自 检 试 剂 盒 进 行 每 周 血
块 药 物 测 试 ， 这 样 病 人 就 不 用 去 医 生 办 公 室 。 研 究 人 员 表 示 ， 尽 管 没 有 对 K r o m t e c h 做 出 回 应 ， 但 该 公 司 在 K r o m t e c h 通 知 了 该 问 题 后 的 一 天 内 将 该 数 据 库 设 为 私 密 。 由 于 H I P A A 违 规 通 知 规 则 ， 现 在 的 法 律 要 求 被 泄 密 的 公 司 通 知 受 影 响 的 患 者 。 K r o m t e c h 战 略 联 盟 副 总 裁 A l e x   K e r n i s h n i u k 说 ： “ 对 于 那 些 想 要 弥 合 医 疗 保 健 和 技 术 之 间 差 距 ， 让 网 络 安 全 变 成 业 务 模 型 的 公 司 来 说 ， 这 又 是 一 次 警 钟 。   “ 即 使 是 最 基 本 的 安 全 措 施 也 可 以 防 止 这 种 数 据 泄 露 。 不 幸 的 是 ， 还 有 更 多 的 数 据 库 和 云 存 储 库 没 有 被 发 现 。 *   参 考 来 源 ： S e c u r i t y A f f a i r s ， 本 文 作 者 ： S p h i n x ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理